OpenVPN ba tare da CA ba: yadda peer-fingerprint ke tabbatar da abokan hulɗa

Ƙaramin turawa yana juya zuwa hotunan yatsa saboda hukumar takardar shaida tana kama da kayan more rayuwa da babu wanda ke da lokacin gudanarwa. Ƙwaƙwalwar motsi tana da ma'ana, amma gajeriyar hanyar da mutane ke bi maimakon haka—kwafin sirri ɗaya na tashar bayanai zuwa ƙarshen biyu—ba haka ba ce. Tsarin peer-fingerprint yana kiyaye tsarin TLS gaba ɗaya: kowane gefe har yanzu yana riƙe da maɓallinsa na sirri da takardar shaidarsa, kuma kowane gefe har yanzu yana tabbatar da ɗayan. Abin da ke canzawa shi ne inda ake aza tabbatarwa: daga mai bayarwa amintacce zuwa ɗan gajeren jerin taƙaitattun da aka ƙulla. Domin taƙaitawa tana ɗaukar dukan takardar shaida ba suna ba, sabuntawa ya zama aikin da ke ɗaukar lokaci na gaske.

Abin da hoton yatsa ke ɗauka a kansa da gaske

Hoto na yatsa na takardar shaida taƙaitawa ce ta dukan takardar shaidar da aka lissafta da DER, ba ta maɓallinta na jama'a ba kuma ba ta sunan batunta ba. Don haka takardu biyu masu suna ɗaya da maɓalli ɗaya amma kwanakin inganci daban-daban suna da hotunan yatsa daban-daban. Wannan ne ke sa ƙulla ya zama daidai, kuma wannan ne ke sa sabuntawa ya zama mai kawo cikas. Ƙulla ba zai iya nufin amincewa da maɓalli gaba ɗaya ba, domin yana ambaton wani abu ɗaya a wani lokaci na rayuwarsa. Kowa na iya sanin taƙaitawar, kuma saninta ba ya tabbatar da komai shi kaɗai.

openssl x509 -in server.crt -noout -fingerprint -sha256
openssl x509 -in client-07.crt -noout -fingerprint -sha256

Rikon maɓallin sirri da ya dace shi ne ke tabbatar da cewa abokin hulɗa yana riƙe da wannan takardar shaida, kuma taƙaitawa ita ce hanyar da ɗayan gefe ke yanke shawara ko ya taɓa tsammanin wannan takardar shaidar. Wannan rabuwa ita ce dalilin da ya sa wannan ƙira ba tsohuwar tsarin sirrin da aka raba ba ce: maɓallin da aka raba yana tabbatar da duk wanda ya san bayt ɗaya, yayin da ƙulla yana tabbatar da takardar shaida ɗaya. Wata na'ura tana samun nata shigar a maimakon kwafin sirri ɗaya, wanda ƙaramin bambanci ne a cikin fayiloli kuma babban a girman ɓarna.

Taswirar tana da juna, ba daidai ba

Kowane ƙarshen buƙatar abubuwa biyu: maɓallinsa na sirri tare da takardar shaidarsa, da kuma sanarwa game da waɗanne takardun shaidar abokan hulɗa zai karɓa. A wajen abokin ciniki wannan sanarwa ita ce taƙaitawar takardar shaidar uwar garke; a wajen uwar garke ita ce jerin taƙaitattun abokan ciniki da aka yi rajista. Wani misali na hukuma don ƙananan tsari na Community 2.6 yana nuna tsarin tare da peer-fingerprint, kuma ya cancanci karantawa kafin ka zaɓi wannan tsarin amincewa don turawa ta gaske. Hanyoyin biyu ba jerin da aka juya ba ne, kuma ba sa kasawa a lokaci ɗaya.

Ƙara na'ura yana gyara jerin izini a wajen uwar garke, ba tare da kwafin kayan sirri na abokin ciniki da ke akwai ba kuma ba tare da matsar da maɓallin uwar garke zuwa wani wuri ba. Hanyoyin biyu kuma suna kasawa dabam-dabam, wanda ke da amfani yayin bincike: duk wani gefe da ya rufe musafaha shi ne gefen da tsammaninsa bai cika ba. Idan abokin ciniki ya ƙi uwar garke, taƙaitawar ba ta dace da takardar shaidar da aka gabatar ba. Idan uwar garke ta ƙi abokin ciniki, taƙaitawar wannan abokin ciniki ba ta cikin jerin, ko kuma abokin ciniki yana gabatar da wata takardar shaida dabam da wadda aka yi rajista.

Rajista: yadda sabuwar na'ura ke shiga

Ƙirƙiri maɓalli da takardar shaidar sabuwar na'urar a inda maɓallin sirri zai kasance, sannan matsar da kayan jama'a kawai zuwa gaɓar da ke buƙatar ƙulla shi. Canja wurin taƙaitawar da ake tsammani ta hanyar tashar da ka riga ka amince da ita, kuma kwatanta dukan takardar shaidar maimakon suna da ya yi kama da sananne. Taƙaitawar da aka kwafa daga wannan saukewar da ba a tabbatar da ita ba na takardar shaidar tana tabbatar da cewa fayilolin biyu sun jitu da juna ne kawai. Wannan gwajin daidaito ne ba gwajin asali ba, kuma ita ce hanya mafi shiru da wannan ƙira ke raunana.

A wajen uwar garke, ƙara taƙaitawar canjin tsari ne da ke bi ta mai gudanarwa na yau da kullum kuma ana bi da shi da sake haɗawa. Tabbatar cewa sabuwar na'urar tana haɗawa kuma na'urar da aka cire taƙaitawarta ba ta ƙara haɗawa. Gwajin da ke ɗaukar yanayin tabbatacce kawai yana barin jerin izini ba a tabbatar da shi ba, kuma wannan ita ce ainihin yanayin da za ka kasance a ciki bayan watanni shida.

Sabuntawa ita ce lokacin mai tsada

Kowace takardar shaida tana ƙarewa, kuma sabuwar takardar shaida tana da sabuwar taƙaitawa ko da maɓalli da sunaye sun kasance ɗaya. A ƙarƙashin mai bayarwa, sabuntawa a bayyane take ga abokan hulɗa da suka amince da wannan mai bayarwa; a ƙarƙashin ƙulla, al'amari ne na rijista ga kowane abokin hulɗa da ya ƙulla takardar shaidar.

Shirya tsari kafin ranar ƙarewa ba bayan ta ba. Raba sabuwar taƙaitawa ga ɓangarorin da ke tabbatar da ita, aiwatar da canjin, sannan kawai musanya takardar shaidar a ƙarshen. Wannan tsari ba ya barin wata taga da ɓangarorin biyu ba su yarda da wace takardar shaida ce ta yanzu ba. Kula da jerin kanta a ƙarƙashin bita, domin jerin da aka ƙulla yana tara shigarwar na'urorin da aka yi ritaya watanni da suka wuce. Kowace tsohuwar shiga asali ce da har yanzu take tabbatarwa idan maɓallinta ya tsira, don haka cire ɗaya aikin tsaro ne ba aikin gida ba.

Abin da taswirar amincewa ba ta yanke hukunci ba

Tabbatarwa wani mataki ne, kuma taswirar da aka ƙulla ba ta faɗin komai game da tafkin adireshi, hanyoyin da aka tura, MTU na hanya ko manufar katangar wuta. Waɗannan sun kasance tsari dabam da hanyoyin kasawa dabam. Ramin da yake tabbatarwa kuma ba ya wuce wani zirga-zirga bincike ne dabam da wanda ba ya tashi kwata-kwata.

Taswirar kuma ba ta girma har abada, kuma PKI da ta dogara kan mai bayarwa ita ce inda manyan turawa suke ƙarewa. Wannan zaɓi game da aiki ne ba game da ɓoyewa ba, domin ƙara da cire asali ta hanyar hukuma ɗaya ya fi arha fiye da gyara jeri a kowane abokin hulɗa yayin da rundunar ke girma. Inda aiwatar da abokin ciniki bai goyi bayan zaɓin ba, amsar ita ce tsarin amincewa mai jituwa da wannan abokin ciniki ya rubuta, ko maye gurbin da aka goyi bayan. Danne gargaɗin tabbatarwa ba ya ƙara wannan goyon baya, kuma dukan darajar ƙirar ita ce tabbatarwa har yanzu tana faruwa.